Tomcat下基于BASIC认证创建会话的Servlet认证异常求助

我之前在Tomcat下开发时也踩过这个BASIC认证与会话结合的坑，咱们来一步步拆解原因和解决办法：

Tomcat的BASIC认证是由容器层面处理的：当客户端第一次发起请求时，容器会返回401 Unauthorized并弹出认证框，用户输入账号密码后，容器验证通过会把用户信息放到**当前请求的安全上下文（Security Context）**里，但默认情况下，这个认证信息并不会自动同步到你通过HttpServletRequest#getSession(true)创建的会话中。

当客户端后续拿着会话Cookie发起请求时，Tomcat确实能识别到这个会话存在，但因为会话里根本没存储之前的认证用户信息，同时客户端这次没发BASIC认证头，容器就会认为用户未完成认证，这就导致了你看到的「服务器能识别会话，但会话里无用户信息」的尴尬情况。

要让会话能“记住”用户的认证状态，咱们需要在认证成功后手动把用户信息存入会话，后续请求直接从会话里取信息判断身份。

1. 认证成功后将用户信息存入会话 #

在你的Servlet的处理方法（比如doGet/doPost）里，先获取容器认证后的用户信息，再存入会话：

protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    // 从安全上下文获取已认证的用户名
    String username = request.getRemoteUser();
    
    if (username != null) {
        // 获取或创建会话
        HttpSession session = request.getSession(true);
        // 将用户名存入会话
        session.setAttribute("authUser", username);
        // 也可以顺便存入角色信息，方便后续权限判断
        session.setAttribute("isAdmin", request.isUserInRole("admin"));
    }
    
    // 后续业务逻辑处理...
}

2. 后续请求通过会话判断认证状态 #

对于之后的请求，先检查会话中是否存在用户信息，没有的话再触发BASIC认证：

protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    // 获取已存在的会话（不创建新会话）
    HttpSession session = request.getSession(false);
    String authUser = null;
    
    if (session != null) {
        authUser = (String) session.getAttribute("authUser");
    }
    
    // 如果会话里没有用户信息，说明未认证/会话过期，触发BASIC认证
    if (authUser == null) {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        response.setHeader("WWW-Authenticate", "Basic realm=\"YourAppRealm\"");
        response.getWriter().write("请先完成身份认证");
        return;
    }
    
    // 已认证，执行业务逻辑
    response.getWriter().write("欢迎回来，" + authUser);
}

3. 确保Tomcat的认证配置正确 #

别忘了在web.xml里正确配置BASIC认证的约束和Realm，比如：

<!-- 配置受保护的资源 -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>受保护接口</web-resource-name>
        <url-pattern>/your-servlet/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>registered-user</role-name>
    </auth-constraint>
</security-constraint>

<!-- 配置BASIC认证方式 -->
<login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>YourAppRealm</realm-name>
</login-config>

<!-- 声明角色 -->
<security-role>
    <role-name>registered-user</role-name>
</security-role>

简单来说，核心就是把容器层面的认证信息，手动同步到你自己的会话中，这样会话才能成为客户端身份的“凭证”，而不是只靠每次请求的BASIC认证头。

内容的提问来源于stack exchange，提问作者sithmein